Un ciberataque del ransomware Zeppelin a la empresa ASAC, tumba los servicios de varios ayuntamientos de España  La empresa de alojamiento Asturiana en la nube ASAC ha dejado sin conexión a webs y sistemas de varias ciudades de España, entre ellas, Fuenalabrada en la Comunidad Madrid, Oviedo en el Principado de Asturias o Vinaròs en la Comunidad Valencia. Entre las afectadas, se encuentran también la Fundación Española para la Ciencia y la Tecnología (FECYT), el Tribunal de Cuentas o el Consejo de Seguridad Nacional (CSN).

Ayuntamiento de Fuenlabrada

El municipio madrileño de Fuenlabrada ha sido uno de los más afectados por este ciberataque provocando que su página web haya quedado suspendida temporalmente hasta resolver la incidencia.

Se trata de una decisión tomada por los términos municipales en colaboración con los cuerpos de seguridad del Estado buscando volver a la normalidad "lo antes posible".

Asimismo, desde el consistorio señalan que "la rápida detección del incidente junto a los sistemas de seguridad han garantizado la confidencialidad de los datos custodiados", y recuerdan que algunos servicios están disponibles.

Ayuntamiento de Zalla

En este municipio de Vizcaya el Ciberataque ha tenido un alcance limitado provocando incidencias en la parte de su web que se utiliza para realizar los trámites municipales así como en su plataforma para reservar espacios polideportivos

Ayuntamiento de Vinarós

El Ayuntamiento de Virnarós también se ha visto afectado por el ataque de manera indirecta. El consistorio habría "apagado" algunas partes de su web municipal y dominios asociados con el fin de llevar a cabo las comprobaciones necesarias de seguridad.

La EMT de Madrid y Valencia

Otros afectados por este Ciberataque han sido las empresas municipales de Transportes de los Ayuntamientos de Madrid y Valencia afectando a sus páginas web, servidores y aplicaciones para teléfonos móviles.

Comunicado empresa ASAC

En la madrugada del sábado 8 de mayo de 2021, hemos sufrido un nuevo episodio de ransomware, similar a los que están sucediendo últimamente en nuestro país. En esta ocasión, ASAC Comunicaciones ha sido la víctima de este ciberataque.  

En primer lugar, agradecer la implicación de todos nuestros profesionales. Desde el primer momento, se moviliza a un equipo con más de 40 profesionales que trabajan intensamente (24x7) para combatir los efectos este ataque, todo ello bajo las directrices nuestro Centro de Respuesta a Incidentes de Seguridad (CSIRT). Por otro lado, se cuenta con el apoyo del Centro Criptológico Nacional (CCN CERT) en la coordinación de la incidencia para la información afectada con el Sector Público. 

En esta ocasión, a pesar de contar con diferentes medidas y certificaciones de seguridad (ISO 27001, 27017, 27017, 20000, 22301 y Esquema Nacional de Seguridad en Categoría ALTA), los ciberdelincuentes han conseguido encriptar parte de nuestros sistemas. No obstante, no debemos olvidar que la gestión de la seguridad es un proceso que no sólo centra en la prevención, sino una temprana detección, recuperación y respuesta.  En este sentido, nuestros sistemas de seguridad han permitido garantizar la confidencialidad total de toda la información, evitando perdida alguna (RPO=0), contiendo el ataque y trabajando de forma efectiva en la respuesta y recuperación.  

Desde ASAC Comunicaciones, queremos compartir lo sucedido desde el primer momento, algo que será complementado con diferentes comunicados particulares dirigidos a cada uno de nuestros clientes. 

¿Qué ha sucedido? 

En la madrugada del sábado, una parte de nuestros sistemas se ha visto afectada por un Ransomware. Se trata de un ataque realizado por delincuentes que cifran los sistemas con el objetivo de lucrarse a través de un recate a cambio, chantaje al cual no accederemos, pues sería una clara contribución en la financiación de futuros ataques, algo a lo que todos estamos expuestos. 

Nuestros sistemas de seguridad nos han permitido una identificación temprana del incidente. Como medida preventiva, en fase de contención, desde el Comité de Crisis se toma la decisión de bloquear el acceso a todos los sistemas, de forma que nos permita realizar con mayor seguridad las investigaciones oportunas para determinar la causa raíz. En paralelo, un segundo equipo trabaja en la restauración de los sistemas, bajo una estrategia definida y con el objetivo de recuperar la normalidad con las máximas garantías, en la atención a nuestros clientes.  

En la actualidad estamos gestionando el incidente con los diferentes organismos reguladores, así como con Fuerzas y Cuerpos de Seguridad del Estado.  

Desgraciadamente, no hemos sido la primera compañía que recibe un ataque, y no seremos la última. Desde ASAC Comunicaciones, confiamos en resolver la situación lo antes posible, para poder seguir ofreciendo el mejor servicio a nuestros clientes, como siempre hemos hecho. 

Sabemos que la transparencia es importante, por lo que os iremos compartiendo toda la información a través de nuestros canales. 

Ransomware Zeppelin

El ransomware Zeppelin está preparado para detener su actividad si se ejecuta desde Rusia u otros países de la antigua Unión Soviética como Ucrania o Bielorrusia. 

Al iniciar la instalación en el sistema, el malware comprueba si se está ejecutando en una máquina localizada en alguno de los países siguiente:

• Rusia
• Ucrania
• Bielorrusia
• Kazajistán

De acuerdo con el informe ofrecido por BlackBerry Cylance, Zeppelin es un ransomware escrito en Delphi altamente configurable.

Zeppelin puede ser desplegado en formato EXE en una DLL o ejecutado a través de PowerShell y puede ser configurado con diferentes características:

• Registro de las IP y localización de las víctimas.
• Persistente al reinicio.
• Eliminación de copias de seguridad.
• Detención de procesos específicos.
• Desbloquea ficheros que se encuentran en ejecución o bloqueados para poder cifrarlos.
• Auto-borrado: elimina el ejecutable y las entradas del registro.
• Elevación de privilegios: el malware intentará elevar privilegios al inicio.